前のレッスンで、研究計画書を先に固定すると決めました。計画書ができても、まだ道具のログは研究データではありません。ログには、最初から患者を特定できる情報が混ざっています。ここでは、それをどこまで、どうやって取り除くかを決めます。
前のレッスンと同じ、外来の問診下書きをAIで作るツールを3か月使った場面で考えます(架空の例です)。このツールのログには、患者の氏名、カルテ番号、生年月日、そして医師が自由記載欄に打ち込んだ問診の下書き本文が残っています。下書き本文には、患者本人が話した言葉がそのまま入っていることも珍しくありません。これを一文一句このまま解析にかけると、研究データではなく個人情報の塊を扱うことになります。
混ざっているものを洗い出す
まず、ログに何が入っているかを棚卸しします。多くの道具のログには、次の3種類が混ざっています。
ログに混ざっている3種類
直接の識別情報
氏名、カルテ番号、生年月日、連絡先
自由記載に紛れ込んだ識別情報
問診下書き・チャット履歴・メモ欄
准識別子
単体では特定できないが、組み合わさると絞り込める
1は機械的に削除できます。2と3は、削除リストを作っただけでは終わりません。次に、どこまで加工すれば安全と言えるかの基準を持ちます。
匿名加工情報と仮名加工情報、どちらを目指すか
個人情報保護法は、加工の程度によって2つの区分を置いています。
| 仮名加工情報(法第2条第5項) | 匿名加工情報(法第2条第6項) | |
|---|---|---|
| 定義 | 他の情報と照合しない限り、特定の個人を識別できないように加工した情報 | 特定の個人を識別できないように加工し、かつ元の個人情報を復元できないようにした情報 |
| 対応表(仮IDと元の情報の対応関係) | 保持してよい。照合すれば元に戻せる | 保持しない。戻せないことが前提 |
| 第三者への提供 | 原則として不可(内部利用に限る) | 本人の同意なしに提供できる |
出典: 個人情報保護委員会「匿名加工情報と仮名加工情報の違いは何ですか」
自分の道具のログを研究データに変えるときは、この2段階をそのまま作業の順番として使えます。解析している間、共同研究者内で共有している間は、仮名加工情報の水準で十分です。対応表を残しておけば、入力ミスに気づいたときに元のログへ戻って確認できます。一方、論文として外部に投稿するデータセット、あるいは学会の抄録に添付する生データは、対応表を捨てて匿名加工情報の水準まで進めてから渡します。両者を混同し、仮名加工情報のまま「匿名化済み」と呼んで外部に渡すことが、実務でいちばん起きやすい間違いです。
落とし穴: ログはそのまま研究データにならない
自分の道具のログを研究データに変える作業には、いくつか典型的な落とし穴があります。
典型的な落とし穴
自由記載欄をそのまま解析にかける
患者の言葉や所見がそのまま残る
准識別子を消し忘れる
組み合わせで特定できることがある
クラウドAIサービス側にログが残る
自分のサーバーを消しても消えない
対応表を研究用データと同じ場所に置く
分けたつもりが分離できていない
データ管理計画: 最小の型
厳密なデータ管理計画は研究の規模に応じて作り込みますが、自分の道具を使った小規模な研究では、次の5点を先に決めておけば足ります。
生ログの保存場所を1つに決める
アクセスできる人を研究責任者である自分に限定する
研究用データを別に作る
識別情報を削除し仮IDに置き換えて、生ログとは別のファイル・別のフォルダに置く
対応表を暗号化して別保存
仮IDと元の情報の対応は、研究用データとは別の場所に置く
対応表を捨てる日を決めておく
仮名加工情報から匿名加工情報へ切り替える日を、データを集め始める前に決める
渡すのは常に研究用データ
共同研究者・査読者・投稿システムに、生ログや対応表を渡さない
この5点は、前のレッスンで固定した研究計画書と同じ発想です。データを見てから決めるのではなく、見る前に決めておきます。
参考文献
- 個人情報保護委員会. "匿名加工情報と仮名加工情報の違いは何ですか". https://www.ppc.go.jp/all_faq_index/faq1-q14-1/
- 個人情報の保護に関する法律(平成15年法律第57号)第2条第5項・第6項. e-Gov法令検索. https://laws.e-gov.go.jp/law/415AC0000000057
セルフチェック
1. 個人情報保護法における仮名加工情報と匿名加工情報の違いとして正しいものはどれか
2. 道具のログを研究データに変えるときの落とし穴として正しい説明はどれか
3. 生ログと研究用データの扱いとして適切なものはどれか